Traitement des données de santé sensibles dans la relation de travail au regard du RGPD
La collecte et l’utilisation des données de santé dans le contexte professionnel comptent parmi les opérations les plus sensibles en matière de protection des données. Les parties au contrat de travail sont confrontées à des questions de plus en plus complexes, en particulier depuis que le Règlement général sur la protection des données (RGPD) a instauré des exigences uniformes à l’échelle européenne. La jurisprudence actuelle, notamment l’arrêt du Tribunal fédéral du travail (BAG, décision du 31.01.2023 – 8 ARZ 25/20), précise les exigences relatives au traitement conforme à la protection des données des informations médicales dans le cadre des relations employeur-employé.
Dans ce qui suit, nous examinerons les exigences procédurales et matérielles dont l’employeur doit tenir compte lors du traitement des données de santé. Une attention particulière sera accordée à l’état actuel de la jurisprudence et aux implications pratiques pour les entreprises.
Les données de santé comme catégorie particulière de données à caractère personnel
Définition et champ de protection juridique
Les données de santé bénéficient d’une protection particulière conformément à l’art. 9, par. 1 RGPD, car elles permettent de tirer des conclusions sur l’état physique ou psychique et possèdent un haut degré de sensibilité. Un traitement illicite peut entraîner des risques considérables pour la personne concernée, c’est pourquoi le législateur et la jurisprudence prévoient des mécanismes de protection stricts.
Licéité du traitement dans la relation de travail
Le traitement de ces informations nécessite une base juridique particulière. Il n’est autorisé que lorsqu’une base légale spécifique est remplie – par exemple le consentement de la personne concernée, une obligation légale ou une nécessité liée à l’exercice de droits et d’obligations en matière de droit du travail, conformément à l’art. 9, par. 2 RGPD en liaison avec l’art. 26, par. 3 BDSG.
Décision du BAG : Critères applicables au traitement des données dans la procédure prud’homale
Motif de la décision
La décision du Tribunal fédéral du travail portait sur la question de savoir si, et dans quelles conditions, le tribunal peut ordonner la divulgation ou la transmission de données de santé des parties. Il s’agissait, entre autres, de préciser davantage la pondération entre l’obligation d’instruction du tribunal et le besoin de confidentialité.
Exigences relatives à la transmission des données de santé
Le BAG précise qu’une ordonnance judiciaire de divulgation d’informations de santé à caractère personnel ne peut être envisagée que si elle est absolument nécessaire à la résolution juridique. Il convient en outre de veiller à ce que la divulgation réponde au principe de minimisation des données et que seules les informations nécessaires à la prise de décision soient communiquées. Il est également essentiel de garantir la conservation sécurisée des données et de limiter le traitement aux seules personnes impliquées dans la procédure.
Rapport entre la protection des données et la recherche procédurale de la vérité
Une conclusion essentielle de la décision est que les intérêts de protection des données de la partie priment en principe, sauf si des raisons procédurales impératives justifient une divulgation. Les personnes concernées doivent en outre, en règle générale, avoir la possibilité de se prononcer sur l’étendue et la finalité du traitement envisagé de leurs données afin d’exercer efficacement leur droit à l’autodétermination informationnelle.
Effets pratiques pour les entreprises et les employés
Obligations de documentation et d’information de l’employeur
Les entreprises sont tenues de documenter de manière détaillée et de rendre transparents la collecte, la conservation et l’utilisation des données sensibles des salariés. Cela inclut l’obligation d’informer clairement et explicitement les employés sur la gestion de leurs données de santé et d’obtenir leur consentement dans les cas légalement requis.
Limites du consentement et proportionnalité
Une attention particulière doit être accordée à la question de savoir dans quelle mesure le consentement des employés peut effectivement être donné librement. Le rapport de force dans la relation de travail peut affecter la validité du consentement. Les entreprises doivent donc toujours vérifier si d’autres bases légales appropriées existent pour le traitement des données.
Suppression et mesures de protection
Une autre conséquence de la jurisprudence actuelle est l’obligation de protéger les données collectées au moyen de mesures techniques et organisationnelles appropriées. L’obligation de suppression immédiate ne s’applique que si aucune obligation impérative de conservation ne s’y oppose. Il faut également veiller à limiter l’accès à un cercle restreint de personnes.
Appréciation juridique et perspectives
La décision du Tribunal fédéral du travail illustre que les juridictions respectent strictement les exigences particulières du RGPD y compris dans le cadre des procédures prud’homales et ne prononcent la divulgation de données sensibles qu’à condition de satisfaire à des exigences élevées. Les entreprises et les salariés doivent connaître les droits et obligations procéduraux qui en découlent.
Dans la mesure où des situations contractuelles ou judiciaires liées à la protection des données, notamment concernant les données de santé, se présentent, il est recommandé de suivre attentivement l’évolution juridique actuelle. La pondération précise entre la protection des données et les intérêts légitimes joue un rôle central notamment dans le contexte des intérêts de l’employeur et de l’employé.
En cas de questions approfondies relatives au traitement de données sensibles dans la relation de travail, les avocats de MTR Legal Rechtsanwälte se tiennent à disposition pour vous assister, tant au niveau national qu’international.
